Námskeið hjá Staðlaráði Íslands: Stjórnun upplýsingaöryggis samkvæmt ISO 27001 og ISO 27002 - Lykilatriði og notkun

Þar sem persónuvernd og upplýsingaöryggi eru mínar ær og kýr, þá langar mig að vekja athygli á því að Staðlaráð Íslands heldur reglulega námskeið um þá tvo staðla sem fjalla um þessi mál.  Þetta eru staðlarnir ÍST ISO/IEC 27001 Upplýsingatækni - Stjórnkerfi upplýsingaöryggis - Kröfur og ÍST ISO/IEC 27002 Upplýsingatækni - Starfsvenjur fyrir stjórnun upplýsingaöryggis.  Næsta námskeið verður haldið 20. nóvember nk. og má skrá sig með því að hafa samband við Staðlaráð í síma 520-7150.

Það er tvær ástæður fyrir því að ég vil vekja athygli á þessu.  Önnur er mjög sjálfhverf, en þannig vill til að ég er leiðbeinandi á þessum námskeiðum.  Hin er, að mínu viti hafa mjög margir mjög gott af því að kynna sér efni þessara staðla vegna starfa sinna.  Ástæðan er einföld.  Nær allir rekstraraðilar, hvort sem er á hinum svo kallaða almenna markaðir eða hinum opinbera vinna með mikið magn af viðkvæmum upplýsingum.  Hluti af þessum upplýsingum er á rafrænu formi, en mjög mikið magn er ennþá á pappír að ógleymdum þeim upplýsingum sem fólk býr yfir.  Hafi menn ekki leitt hugann að því hvernig er best að verja þessar upplýsingar fyrir tjóni og óleyfilegum aðgangi, þá eru mestar líkur á því að menn séu ekki búnir undir áföll eða uppákomur. 

Stjórnun upplýsingaöryggis snýst í stórum dráttum um að tryggja þrennt: leynd/trúnað, réttleika/nákvæmni og tiltækileika/aðgengi.  Leynd eða trúnaður snýst um að þeir einir eigi að hafa aðgang að upplýsingum sem til þess hafa heimild.  Réttleiki/nákvæmni snýst um að upplýsingum sé haldið réttum í gegnum vinnsluferlið og á vörslutíma.  En tiltækileiki/aðgengi snýst um að þeir sem hafa til þess heimild hafi aðgang að upplýsingunum þegar þeir þess þurfa.  Það má því segja að stjórnun upplýsingaöryggis snúist um að þeir, sem til þess hafa heimild, eigi að hafa aðgang að réttum og nákvæmum upplýsingum þegar þeir þurfa á því að halda.

Þetta eru skýr og skilmerkileg markmið.  Staðlarnir ISO 27001 og ISO 27002 eiga einmitt að aðstoða ábyrgðaraðila upplýsinganna að ná þessum markmiðum.  Þeir þykja báðir mjög góðir til síns brúks, þó svo að þeir séu ekki alfullkomnir.  Þeir þykja a.m.k. það góðir að Persónuvernd, Fjármálaeftirlit og Póst- og fjarskiptastofnun vísa öll til staðlanna sem tækja eða tóla sem hægt er að nota til uppfylla kröfur um upplýsingaöryggi, persónuvernd og öryggi fjarskipta.  Það hlýtur því að vera full ástæða fyrir aðila sem þurfa að uppfylla persónuverndarlög og reglur, leiðbeinandi tilmæli FME og ákvæði um öryggi í fjarskiptum að kynna sér efni þeirra nánar.

Athugasemdir

[Anna Benkovic Mikaelsdóttir, 29.10.2008 kl. 23:11]

TAKK